🚫

Strong Parameters

Mass Assignment攻撃防止

Strong ParametersはMass Assignment攻撃を防止するRailsのセキュリティ機能です。

Mass Assignment攻撃とは？

# 悪意あるユーザーがadmin=trueをこっそり送信
POST /users { user: { name: "Hacker", email: "...", admin: true } }

防御:

def user_params
  params.require(:user).permit(:name, :email, :password)
  # adminフィールドはpermitにないため自動無視！
end

def create
  @user = User.new(user_params)  # 安全
  # @user = User.new(params[:user])  # 危険！（Rails 4以前の方式）
end

ネストパラメータ:

params.require(:post).permit(
  :title, :content,
  tags: [],                           # 配列
  comments_attributes: [:id, :body]   # ネストモデル
)

ロール別の異なる許可フィールド:

def user_params
  if current_user.admin?
    params.require(:user).permit(:name, :email, :role, :admin)
  else
    params.require(:user).permit(:name, :email)
  end
end